Mengumpulkan log CloudPassage Halo

Didukung di:

Google SecOps SIEM

Catatan: Fitur ini tercakup dalam Persyaratan Penawaran Pra-GA dari Persyaratan Khusus Layanan Google Security Operations. Fitur pra-GA mungkin memiliki dukungan terbatas, dan perubahan pada fitur pra-GA mungkin tidak kompatibel dengan versi pra-GA lainnya. Untuk mengetahui informasi selengkapnya, lihat panduan Layanan Dukungan Teknis Google SecOps dan Persyaratan Khusus Layanan Google SecOps.

Dokumen ini menjelaskan cara mengumpulkan log CloudPassage Halo (sebelumnya CloudPassage) dengan menyiapkan feed Google Security Operations menggunakan API Pihak ketiga.

Label penyerapan mengidentifikasi parser yang menormalisasi data log mentah ke format UDM terstruktur. Informasi dalam dokumen ini berlaku untuk parser dengan label penyerapan CLOUD_PASSAGE.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps
• Akses istimewa ke portal CloudPassage Halo dengan izin administrator
• Akun CloudPassage Halo aktif dengan akses API diaktifkan

Mengonfigurasi akses CloudPassage Halo API

Agar Google SecOps dapat menarik log peristiwa, Anda perlu membuat pasangan kunci API dengan izin hanya baca.

Membuat pasangan kunci API

1. Login ke CloudPassage Halo Portal.
2. Buka Setelan > Administrasi Situs > Kunci API.
3. Klik Create Key atau New API Key.
4. Berikan detail konfigurasi berikut:
   • Nama Kunci: Masukkan nama deskriptif (misalnya, Google SecOps Integration).
   • Hanya Baca: Pilih Ya (akses hanya baca direkomendasikan untuk keamanan).
5. Klik Create.

Mencatat kredensial API

Setelah membuat kunci API, Anda akan menerima kredensial berikut:

• ID Kunci: ID kunci API unik Anda (misalnya, abc123def456)
• Secret Key: Kunci rahasia API Anda (misalnya, xyz789uvw012)

Penting: Segera salin dan simpan kredensial ini di lokasi yang aman. Anda akan memerlukan kedua nilai untuk mengonfigurasi feed Google SecOps, dan kunci rahasia tidak dapat diambil setelah Anda menutup dialog pembuatan.

Izin API yang diperlukan

Kunci API CloudPassage Halo mendukung tingkat izin berikut:

Tingkat Izin	Akses	Tujuan
Read Only	Baca	Mengambil data dan konfigurasi peristiwa (direkomendasikan)
Akses Penuh	Baca + Tulis	Mengambil peristiwa dan mengubah konfigurasi (tidak diperlukan)

Catatan: Penggunaan kunci API hanya baca mengikuti prinsip keamanan hak istimewa terendah. Akses hanya baca sudah cukup untuk penyerapan log ke Google SecOps. Izin tulis tidak diperlukan dan tidak boleh diberikan.

Menyiapkan feed

Untuk mengonfigurasi feed, ikuti langkah-langkah berikut:

1. Buka Setelan SIEM > Feed.
2. Klik Tambahkan Feed Baru.
3. Di halaman berikutnya, klik Konfigurasi satu feed.
4. Di kolom Nama feed, masukkan nama untuk feed (misalnya, CloudPassage Halo Events).
5. Pilih Third party API sebagai Source type.
6. Pilih Cloud Passage sebagai Log type.
7. Klik Berikutnya.

8. Tentukan nilai untuk parameter input berikut:

   • Nama pengguna: Masukkan ID Kunci dari pasangan kunci API CloudPassage Halo yang dibuat sebelumnya.
   • Secret: Masukkan Secret Key dari pasangan kunci API CloudPassage Halo yang dibuat sebelumnya.

   • Jenis peristiwa (opsional): Tentukan jenis peristiwa yang akan di-ingest. Masukkan satu jenis acara per baris.

     • Jika Anda membiarkan kolom ini kosong, feed akan otomatis mengambil jenis peristiwa default berikut:
       • fim_target_integrity_changed (Peristiwa Pemantauan Integritas File)
       • lids_rule_failed (Peristiwa Log-based Intrusion Detection System)
       • sca_rule_failed (Peristiwa Penilaian Konfigurasi Keamanan)

     Untuk mengambil jenis peristiwa tambahan, masukkan satu per baris. Contoh:

     fim_target_integrity_changed
     lids_rule_failed
     sca_rule_failed
     lids_rule_passed
     sca_rule_passed
     agent_connection_lost
     

   Catatan: Jenis peristiwa yang tersedia mencakup, tetapi tidak terbatas pada: peristiwa fim_*, lids_*, sca_*, agent_*, firewall_*, dan server_*. Lihat dokumentasi CloudPassage Halo API untuk mengetahui daftar lengkap jenis peristiwa.
   • Namespace aset: Namespace aset.
   • Label penyerapan: Label yang akan diterapkan ke peristiwa dari feed ini.

9. Klik Berikutnya.

10. Tinjau konfigurasi feed baru Anda di layar Selesaikan, lalu klik Kirim.

Setelah penyiapan, feed akan mulai mengambil log peristiwa dari CloudPassage Halo API secara kronologis.

Tabel pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
id	metadata.product_log_id	ID peristiwa unik
created_at	metadata.event_timestamp	Stempel waktu pembuatan acara
type	metadata.product_event_type	Jenis peristiwa (misalnya, fim_target_integrity_changed)
server_hostname	target.hostname	Nama host server yang terpengaruh
server_platform	target.platform	Platform sistem operasi
server_primary_ip_address	target.ip	Alamat IP utama server
rule_name	security_result.rule_name	Nama aturan keamanan yang memicu peristiwa
critical	security_result.severity	Tingkat kekritisan peristiwa
policy_name	security_result.category	Nama kebijakan keamanan
user	principal.user.userid	Pengguna yang terkait dengan acara
message	security_result.description	Deskripsi atau pesan acara

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.